以下のセキュリティホール情報は、日刊メールマガジン「Scan Daily Express」の見出しのみを抜粋したものです。「Scan Daily Express」では、全文とセキュリティホールの詳細へのリンクURLをご覧いただけます。★ お申込みはこちら ★https://www.netsecurity.ne.jp/14_3683.html＜プラットフォーム共通＞ ━━━━━━━━━━━━━━━━━━━━━━▽Apple TV─────────────────────────────Appleは、Apple TVのセキュリティアップデートを公開した。このアップデートによって、複数のセキュリティホールが解消される。2008/07/11 登録危険度：影響を受けるバージョン：2.1未満影響を受ける環境：Mac OS X、Windows回避策：セキュリティアップデートの実行▽TGS Content Management──────────────────────TGS Content Managementは、index.phpおよびlogin.phpスクリプトがユーザ入力を適切にチェックしていないことが原因でクロスサイトスクリプティングを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクッキーベースの認証資格証明を奪取される可能性がある。2008/07/11 登録危険度：中影響を受けるバージョン：0.3.2r2影響を受ける環境：UNIX、Linux、Windows回避策：公表されていません▽DreamNews Manager────────────────────────DreamNews Managerは、dreamnews-rss.phpスクリプトに細工されたSQLステートメントを送ることでSQLインジェクションを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にデータベース上のデータを修正されたり削除される可能性がある。2008/07/11 登録危険度：中影響を受けるバージョン：影響を受ける環境：UNIX、Linux、Windows回避策：公表されていません▽Drupal──────────────────────────────Drupalは、細工されたリンクからログインすることでセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にセッションを乗っ取られる可能性がある。2008/07/11 登録危険度：中影響を受けるバージョン：Drupal 5.7、6.2、vbDrupal 5.7.0影響を受ける環境：UNIX、Linux、Windows回避策：ベンダの回避策を参照▽Sophos製品────────────────────────────Sophos Email Appliance、Pure Message for UnixおよびAnti-Virus Interface (SAVI)は、細工されたアタッチメントが原因でセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にDoS攻撃を受ける可能性がある。2008/07/11 登録危険度：低影響を受けるバージョン：影響を受ける環境：UNIX、Linux、Windows回避策：ベンダの回避策を参照▽OpenID module for Drupal─────────────────────OpenID module for Drupalは、ユーザ入力を適切にチェックしていないことなどが原因で複数のセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にクロスサイトスクリプティングやクロスサイトrequest forgeryを実行されたりWebキャッシュ汚染を受けるなどの可能性がある。2008/07/11 登録危険度：中影響を受けるバージョン：4.6.x-1.x-dev、4.7.x-1.x-dev、4.7.x-2.x-dev、5.x-1.0、5.x-1.1、5.x-1.x-dev、6.2、影響を受ける環境：UNIX、Linux、Windows回避策：ベンダの回避策を参照▽DreamPics Builder────────────────────────DreamPics Builderは、index.phpスクリプトに細工されたSQLステートメントを送ることでSQLインジェクションを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にデータベース上のデータを修正されたり削除される可能性がある。2008/07/11 登録危険度：中影響を受けるバージョン：影響を受ける環境：UNIX、Linux、Windows回避策：公表されていません▽Zoph───────────────────────────────Zophは、細工されたSQLステートメントを送ることでSQLインジェクションを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にデータベース上のデータを修正されたり削除される可能性がある。2008/07/11 登録危険度：中影響を受けるバージョン：0.7.2.1影響を受ける環境：UNIX、Linux、Windows回避策：公表されていません▽Pidgin──────────────────────────────Pidginは、細工されたSLPメッセージによって整数オーバーフローを引き起こされるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行される可能性がある。[更新]2008/07/10 登録危険度：影響を受けるバージョン：2.4.3以前影響を受ける環境：UNIX、Linux、Windows回避策：2.4.3へのバージョンアップ▽AuraCMS─────────────────────────────AuraCMSは、pages_data.phpスクリプトでのエラーが原因でセキュリティ制限を回避されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上の任意のデータを修正されたり削除される可能性がある。 [更新]2008/07/10 登録危険度：中影響を受けるバージョン：2.2.2以前影響を受ける環境：UNIX、Linux、Windows回避策：公表されていません▽Java Management Extensions────────────────────Sun Java Runtime Environment（JRE）に含まれるJava Management Extensions (JMX) management agentは、アプレットを作成されることでセキュリティ制限を回避されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にJMXが動作しているシステム上で無許可の行動を実行される可能性がある。 [更新]2008/07/10 登録危険度：中影響を受けるバージョン：JDK 5.0 Update 15以前、JDK 6 Update 6以前、JRE 5.0 Update 15以前、JRE 6 Update 6以前影響を受ける環境：UNIX、Linux、Windows回避策：ベンダの回避策を参照▽Sun JRE / JDK──────────────────────────Sun JREおよびJDKは、インプリメンテーションエラーによってセキュリティホールが存在する。この問題が悪用されると、攻撃者にセキュリティ制限を回避される可能性がある。 [更新]2008/07/10 登録危険度：低影響を受けるバージョン：JDK 5.0 Update 6以前、JDK 6 Update 6以前、JRE 5.0 Update 6以前、JRE 6 Update 6以前影響を受ける環境：UNIX、Linux、Windows回避策：ベンダの回避策を参照▽Sun Java Runtime Environment (JRE)────────────────Sun Java Runtime Environment (JRE)は、多数の特定されていないエラーによってクロスドメインセキュリティ制限を回避されるセキュリティホールが存在する。この問題が悪用されると、ローカルの攻撃者にある特定のサービスへの無許可のアクセス権を奪取される可能性がある。 [更新]2008/07/10 登録危険度：中影響を受けるバージョン：JDK 5.0 Update 15以前、JDK 6 Update 6以前、JRE 1.3.1_22以前、JRE 1.4.2_17以前、JRE 5.0 Update 15以前、JRE 6 Update 6以前、SDK 1.3.1_22以前、SDK 1.4.2_17以前影響を受ける環境：UNIX、Linux、Windows回避策：ベンダの回避策を参照▽Sun Java Runtime Environment (JRE)────────────────Sun Java Runtime Environment (JRE)は、言語サポートと関連のあるエラーによってセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者に機密情報を奪取される可能性がある。 [更新]2008/07/10 登録危険度：高影響を受けるバージョン：JDK 1.6.0 Update6、JRE 1.6.0 Update6影響を受ける環境：UNIX、Linux、Windows回避策：ベンダの回避策を参照▽Sun Java Runtime Environment───────────────────Sun Java Runtime Environment（JRE）は、XMLデータ処理のエラーなどが原因で複数のセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者に特定のファイルやWebページへの無許可のアクセスを実行される可能性がある。 [更新]2008/07/10 登録危険度：高影響を受けるバージョン：1.6.0 Update6、5.0 Update 9以前、1.3.1_22以前、影響を受ける環境：UNIX、Linux、Windows回避策：ベンダの回避策を参照＜Microsoft＞━━━━━━━━━━━━━━━━━━━━━━━━━━━━▽Microsoft Word──────────────────────────Microsoft Wordは、細工されたドキュメントを開くことでセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にシステム上で任意のコードを実行されたりアプリケーションをクラッシュされる可能性がある。 [更新]2008/07/10 登録危険度：高影響を受けるバージョン：2002 SP3影響を受ける環境：Windows回避策：ベンダの回避策を参照▽Microsoft SQL Server───────────────────────Microsoft SQL Serverは、権限を昇格される複数のセキュリティホールが存在する。この問題が悪用されると、攻撃者にコンピュータを完全に制御される可能性がある。 [更新]2008/07/09 登録最大深刻度 : 重要影響を受けるバージョン：7.0、2000 SP4、2005 SP2影響を受ける環境：Windows 2000 SP4、2003 SP1、Server 2008回避策：WindowsUpdateの実行▽Microsoft Exchange Server────────────────────Microsoft Exchange Serverは、Outlook Web Access (OWA) の脆弱性が原因で複数のセキュリティホールが存在する。この問題が悪用されると、攻撃者にOWAの各クライアントのセッション データへのアクセス権を取得され、特権を昇格される可能性がある。 [更新]2008/07/09 登録最大深刻度 : 重要影響を受けるバージョン：2003 SP2、2007、SP1影響を受ける環境：Windows Exchange Server回避策：WindowsUpdateの実行▽Microsoft Windows────────────────────────Microsoft Windowsは、Windows エクスプローラの脆弱性が原因でセキュリティホールが存在する。この問題が悪用されると、攻撃者に影響を受けるコンピュータが完全に制御される可能性がある。 [更新]2008/07/09 登録最大深刻度 : 重要影響を受けるバージョン：影響を受ける環境：Windows Vista、SP1、Server 2008回避策：WindowsUpdateの実行▽Microsoft Windows────────────────────────Microsoft Windowsは、Windows ドメイン ネーム システム (DNS) の脆弱性が原因で複数のセキュリティホールが存在する。この問題が悪用されると、攻撃者になりすましが行われる可能性がある。 [更新]2008/07/09 登録最大深刻度 : 重要影響を受けるバージョン：影響を受ける環境：Windows 2000 SP4、XP SP2、SP3、Server 2003 SP1、 SP2、Server 2008回避策：WindowsUpdateの実行＜その他の製品＞ ━━━━━━━━━━━━━━━━━━━━━━━━━━▽Xerox CentreWare Web───────────────────────Xerox CentreWare Webは、細工されたSQLステートメントを送ることでSQLインジェクションを実行されるセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にデータベース上のデータを修正されたり削除される可能性がある。 [更新]2008/07/10 登録危険度：中影響を受けるバージョン：3.6.42、4.6影響を受ける環境：Windows回避策：4.6.46以降へのバージョンアップ＜UNIX共通＞ ━━━━━━━━━━━━━━━━━━━━━━━━━━━━▽BIND───────────────────────────────BINDは、細工されたDNSクエリによってセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にDNSキャッシュを汚染される可能性がある。 [更新]2008/07/09 登録危険度：影響を受けるバージョン：9.x影響を受ける環境：UNIX、Linux回避策：公表されていません＜Linux共通＞━━━━━━━━━━━━━━━━━━━━━━━━━━━━▽Linux kernel───────────────────────────Linux kernelは、sys32_ptrace機能が原因でセキュリティホールが存在する。この問題が悪用されると、リモートの攻撃者にDoS攻撃を受ける可能性がある。2008/07/11 登録危険度：低影響を受けるバージョン：2.6.9 rc1ほか影響を受ける環境：Linux回避策：2.6.25.10以降へのバージョンアップ▽Linux kernel───────────────────────────Linux kernelは、mountpoint特性を修正されることが原因でセキュリティホールが存在する。この問題が悪用されると、ローカルの攻撃者に権限を昇格されたりDoS攻撃を受ける可能性がある。2008/07/11 登録危険度：高影響を受けるバージョン：2.6.9ほか影響を受ける環境：Linux回避策：ベンダの回避策を参照 ＜IBM-AIX＞━━━━━━━━━━━━━━━━━━━━━━━━━━━━━▽IBM Data ONTAP──────────────────────────IBM Data ONTAPは、未知のセキュリティホールが存在する。なお、これ以上の詳細は公表されていない。2008/07/11 登録危険度：中影響を受けるバージョン：7.1以前、影響を受ける環境：IBM Data ONTAP回避策：7.1.3以降へのバージョンアップ＜リリース情報＞ ━━━━━━━━━━━━━━━━━━━━━━━━━━▽Samba──────────────────────────────Samba 3.0.31がリリースされた。http://us1.samba.org/samba/ ▽phpBB──────────────────────────────phpBB 3.0.2がリリースされた。http://www.phpbb.com/ ▽Net-SNMP 5.2.x系─────────────────────────Net-SNMP 5.2.5がリリースされた。http://www.net-snmp.org/ ▽Wireshark────────────────────────────Wireshark 1.0.2がリリースされた。http://www.wireshark.org/ ▽Apple iTunes───────────────────────────Apple iTunes 7.7がリリースされた。http://www.apple.com/jp/ftp-info/reference/itunes77.html▽Apple TV─────────────────────────────Apple TV 2.1がリリースされた。http://www.apple.com/jp/appletv/▽Linux kernel 2.6.x 系──────────────────────Linux kernel 2.6.26-rc9-git7がリリースされた。http://www.kernel.org/ ＜セキュリティトピックス＞ ━━━━━━━━━━━━━━━━━━━━━▽トピックスJVN、Microsoft 製品における複数の脆弱性に対するアップデート [更新]http://jvn.jp/cert/JVNTA08-190A/index.html▽トピックスJVN、複数の DNS 実装にキャッシュポイズニングの脆弱性 [更新]http://jvn.jp/cert/JVNVU800113/index.html▽トピックスJVN、Microsoft Office Snapshot Viewer ActiveX コントロールに脆弱性 [更新]http://jvn.jp/cert/JVNTA08-189A/index.html▽トピックスJVN、複数の DNS 実装にキャッシュポイズニングの脆弱性 [更新]http://jvn.jp/cert/JVNTA08-190B/index.html▽トピックスフィッシング対策協議会、【注意喚起】 DNSに重大な脆弱性http://www.antiphishing.jp/2008/07/-dns.html▽トピックスJPNIC、電子証明書を用いた認証方式に関する説明会のお知らせhttp://www.nic.ad.jp/ja/topics/2008/20080710-01.html▽トピックストレンドマイクロ、ServerProtect for Linux 2.5 用 Patch 4 公開のお知らせhttp://www.trendmicro.co.jp/support/news.asp?id=1114▽トピックス日本エフ・セキュア、Webアプリケーションファイアウォール製品 「F-Secure サイトガード Linuxサーバ版」製品譲渡、業務移管に関するご案内http://www.f-secure.co.jp/news/200807111/▽トピックスマカフィーのスパム実験で、進化する「スパム心理学」が明らかにhttp://www.mcafee.com/japan/about/prelease/pr_08b.asp?pr=08/07/10-1▽トピックスアンラボ、【誤診のお知らせ】http://japan.ahnlab.com/news/view.asp?seq=3262▽トピックスアンラボ、2008.07.10.01エンジンによる誤診断に対する対処方法http://japan.ahnlab.com/news/view.asp?seq=3264▽トピックスチェック・ポイント、ZoneAlarm製品における、Microsoft Update（KB951748）の適用後にインターネット接続が不可となる現象を回避する方法を提供http://www.checkpoint.co.jp/pr/2008/20080710mediaalert.html▽トピックスチェック・ポイント、SmartDefense により最新の DNS 攻撃を防御http://www.checkpoint.co.jp/pr/2008/20080710mediadnsattacks.html▽トピックスNTTドコモ、おサイフケータイ対応機種の契約数が全国で3,000万を突破http://www.nttdocomo.co.jp/info/news_release/page/080710_00.html▽トピックスau、au携帯電話「W61SA」の「ケータイアップデート」開始のお知らせhttp://www.au.kddi.com/seihin/information/detail/au_info_20080711.html▽トピックスau、海外におけるW63SAのご利用に関するお詫びhttp://www.au.kddi.com/news/au_top/information/au_info_20080710201731.html▽トピックスWILLCOM、Ultra Mobile「WILLCOM D4」発売開始！ http://www.willcom-inc.com/ja/lineup/ws/016sh/index.html▽トピックスWILLCOM、ネットインデックス製「RX410IN」「AX530IN」ソフトウェアバージョンアップのお知らせ http://www.willcom-inc.com/ja/support/update/index.html▽トピックスALSI、ALSI フィルタリングソフトの普及・啓発のため夏休み期間限定で「InterSafe Personal」を無償提供http://www.alsi.co.jp/news/sisps_080710.html▽トピックスAPC Japan、データセンター向け統合管理ソリューションを販売開始http://www.apc.co.jp/▽トピックス富士通、中国社が情報システムセキュリティー管理強化のため手のひら静脈認証装置「PalmSecure」を採用http://pr.fujitsu.com/jp/news/2008/07/10.html▽トピックス日本PGP、NSDのメールセキュリティ プロジェクトで協業http://www.pgp.com/jp/news/pgp_japan_kk_joins_nsd_co_led_secure_email_project.html▽トピックス日商エレクトロニクス、メールセキュリティー分野で13社共同プロジェクトに参加http://www.nissho-ele.co.jp/press/goods/2008/0807_mailsecurity.html▽サポート情報トレンドマイクロ、ウイルスパターンファイル：5.399.00 (07/11)http://jp.trendmicro.com/jp/support/download/pattern/index.html▽サポート情報アンラボ、V3 / SpyZero 定期アップデート情報http://japan.ahnlab.com/news/view.asp?seq=3266▽サポート情報アンラボ、V3 緊急アップデート情報http://japan.ahnlab.com/news/view.asp?seq=3265▽ウイルス情報トレンドマイクロ、TROJ_PPDROP.Mhttp://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=TROJ%5FPPDROP%2EM▽ウイルス情報トレンドマイクロ、TROJ_MDROPPER.ZYhttp://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=TROJ%5FMDROPPER%2EZY▽ウイルス情報マカフィー、Generic Downlaoder.ab!1C15http://www.mcafee.com/japan/security/virG.asp?v=Generic%20Downlaoder.ab!1C15◆アップデート情報◆───────────────────────────────────●MIRACLE Linuxがbindのアップデートをリリース─────────────────────────────────── Miracle Linuxがbindのアップデートをリリースした。このアップデートによって、DNS情報を偽装する問題が修正される。 Miracle Linux アップデート情報 http://www.miraclelinux.com/support/update/list.php?category=1───────────────────────────────────●Vine Linuxがcvsおよびpcreのアップデートをリリース─────────────────────────────────── Vine Linuxがcvsおよびpcreのアップデートをリリースした。このアップデートによって、それぞれの問題が修正される。 Vine Linux 最近発行された Errata http://www.vinelinux.org/index.html ───────────────────────────────────●Slackwareが複数のアップデートをリリース─────────────────────────────────── Slackwareがseamonkey、bindおよびmozilla-firefoxのアップデートをリリースした。このアップデートによって、それぞれの問題が修正される。 Slackware Security Advisories http://www.slackware.com/security/list.php?l=slackware-security&y=2008
